Кампания RMM: распространение вредоносного ПО через поддельные документы

Недавние наблюдения выявили новую вредоносную кампанию, в которой злоумышленники используют легитимные инструменты удаленного мониторинга и управления (RMM) для распространения вредоносного ПО через обмен поддельными документами. Судя по всему, это развитие предыдущей тактики — раньше преступники распространяли мошеннические исправления для цифровых подписей, теперь же переход сделан к более изощрённой социальной инженерии.

Что обнаружено

Аналитики зафиксировали рассылку сообщений на английском языке, целью которых является побудить получателя загрузить и открыть вредоносный документ. Выбор RMM как вектора атаки не случаен: эти инструменты широко используются для удаленного доступа и управления системами, и пользователи часто им доверяют. Злоумышленники этим пользуются, чтобы создать впечатление легитимности отправленного контента и повысить вероятность взаимодействия жертвы с файлом.

«Выбор в пользу инструментов RMM указывает на изощрённый подход злоумышленников, поскольку пользователи обычно доверяют этим инструментам для удаленного доступа к файлам и управления системой.»

Механика атаки и предполагаемые цели

Конкретные детали поведения и функциональных возможностей полезной нагрузки не были широко раскрыты, однако характер распространения позволяет сделать ряд обоснованных предположений:

• Социальная инженерия: атака полагается на убедительные сообщения и поддельные документы, чтобы заставить пользователя совершить опасные действия.
• Злоупотребление доверием к RMM: использование легитимных инструментов снижает подозрения и усложняет обнаружение.
• Возможные цели полезной нагрузки: эксплуатация уязвимостей, выполнение команд удалённо, установка backdoor’ов или получение несанкционированного доступа и контроля над системой.

Риски и последствия

Атаки такого типа несут повышенный риск для организаций и частных пользователей, поскольку позволяют злоумышленникам:

• скрывать вредоносную активность на фоне обычного административного трафика;
• получать длительный и устойчивый доступ к инфраструктуре;
• обходить стандартные меры защиты за счёт доверия к инструментам удалённого управления.

Рекомендации для пользователей и организаций

Чтобы снизить вероятность успешной атаки, рекомендуем придерживаться следующих практик:

• Проявлять осторожность при получении документов из неожиданных источников, даже если сообщение выглядит легитимно.
• Проверять подлинность отправителя и контекст обмена перед загрузкой и открытием файлов.
• Ограничить права и доступ RMM-инструментов по принципу наименьших привилегий.
• Внедрить мониторинг активности RMM и сканирование на предмет подозрительных команд или соединений.
• Обучать сотрудников признакам фишинга и приёмам социальной инженерии.
• Регулярно обновлять ПО и управлять уязвимостями, чтобы снизить шанс эксплуатации.

Заключение

Текущая кампания демонстрирует эволюцию атакующих методик: переход от явных мошеннических исправлений к более тонким приёмам, использующим доверие к легитимным инструментам. Это подчёркивает необходимость повышенного внимания к обмену документами и строгих процедур управления удалённым доступом. Организациям и пользователям важно сохранять бдительность и принимать превентивные меры, чтобы минимизировать риски компрометации.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.